Elena San Miguel García, abogada especialista en protección de datos y Delegada de Protección de Datos certificada conforme el esquema AEPD-DPD.
La solicitud de una copia del DNI (Documento Nacional de Identidad), por parte de empresas y autónomos a sus clientes, viene siendo una práctica habitual en los últimos años. Esta solicitud se extiende a situaciones tan diversas como la contratación de un seguro de salud o la instalación de un sistema de alarma.
El DNI contiene datos particularmente sensibles, tales como el nombre y apellidos, fecha de nacimiento, nacionalidad, sexo, fotografía, etc. Con estos datos sería posible que un tercero pudiese suplantar la identidad de su titular con relativa facilidad, y desde luego, llevar a cabo conductas que supongan un alto riesgo para la privacidad, el honor, y el patrimonio del suplantado.
No obstante, a pesar de que esta práctica se ha generalizado, la copia del DNI, como tratamiento de esos datos, sólo será lícita si se cumplen los principios establecidos por la normativa de protección de datos. Entre varios de los principios, cabe destacar la minimización, proporcionalidad y finalidad lícita, los cuales exigen que la solicitud de datos del DNI se limite a lo estrictamente necesario, se encuentre debidamente justificada y que la finalidad sea determinada, explícita y legítima.
Además, sólo es posible requerir el DNI si existe una base jurídica que lo habilite, como el cumplimiento de una obligación legal, o la ejecución de un contrato.
En este sentido, es importante insistir en que medidas como la difuminación de datos, el uso de marcas de agua, o copia en blanco y negro del DNI, puede resultar insuficientes, y por tanto, terminar en un tratamiento ilícito de los datos.
Así pues, una vez dicho lo anterior, cabe señalar que la Agencia Española de Protección de Datos (AEPD), ya ha impuesto sanciones en casos en los que esta práctica no ha cumplido con los requisitos exigidos por la normativa vigente.
Un ejemplo relevante es el Expediente N.º: EXP202309054, en el que una empresa dedicada a la gestión de proyectos inmobiliarios fue sancionada tras solicitar a un inversor una copia escaneada de su DNI por correo electrónico. En concreto, uno de los inversores, solicitó a la empresa información sobre proyectos en los que participaba. Como respuesta, la entidad indicó que necesitaba una copia de su DNI escaneado para verificar su identidad, y confirmar que efectivamente era inversor en esos proyectos. En ningún momento, la empresa proporcionó al inversor información sobre el tratamiento de datos, y además el requerimiento fue realizado por un medio inseguro para el envío datos personales tan sensibles, como es el correo electrónico.
El inversor interpuso reclamación ante la AEPD, iniciando una investigación que terminó con una sanción a la empresa. La referida autoridad determinó que la empresa no presentó pruebas de contar con una Política de Privacidad en la que informara sobre el tratamiento de datos, así como tampoco acreditó qué medidas de seguridad tenía para proteger el envío del DNI, ni justificó por qué era necesario solicitarlo por ese medio.
Finalmente, la AEPD impuso dos multas de 50.000 euros cada una: la primera, por vulnerar el artículo 13 del RGPD, al no proporcionar al interesado la información exigida en materia de tratamiento de datos; y la segunda, por incumplir el artículo 32.1 del RGPD, al no garantizar la seguridad de los datos personales, dado que el envío del DNI se realizó a través de un medio inseguro, sin que la empresa hubiera presentado un análisis de riesgos ni acreditado la adopción de medidas de seguridad adecuadas.
Otra sanción relacionada con el tratamiento inadecuado del DNI, recayó sobre una clínica odontológica por incumplir el principio de minimización de datos. En esta ocasión, la clínica solicitó a un cliente una copia de su documento de identidad para procesar un reembolso. La clínica entendía que para evitar fraudes necesitaba, verificar la identidad del cliente; sin embargo, no aceptó otras alternativas menos intrusivas propuestas por el cliente.
En este caso (expediente N.º: EXP202302620), la AEPD consideró que la relación contractual entre ambas partes ya proporcionaba los datos necesarios para efectuar el reembolso, por lo que la solicitud de una copia completa del DNI resultaba excesiva y carecía de justificación. En consecuencia, consideró que la clínica había vulnerado el artículo 5.1 c) del Reglamento General de Protección de Datos, relativo al principio de minimización de datos, y omitido la obligada intervención del delegado de protección de datos de la clínica, por lo cual impuso una multa que en suma ascendió a 30.000 euros.
De lo anterior es posible concluir que, antes de solicitar el DNI, resulta fundamental evaluar si la solicitud en cuestión es realmente necesaria. Si lo fuera, deberá asegurarse el cumplimiento de los principios que rigen la protección de datos, incluyendo la obligación de facilitar a los interesados, la información sobre el tratamiento.
Asimismo, en razón de que, en los últimos años, el número de ciberataques en bases de datos con información personal ha aumentado considerablemente, es imprescindible establecer medidas de seguridad, organizativas y técnicas adecuadas. No basta con almacenar los documentos en un servidor; es necesario implementar sistemas de cifrado, control de accesos y auditorías regulares para prevenir brechas de seguridad.
